Lo que necesitas saber, sin rodeos: quién está obligado, qué exige cada norma, cuánto duelen las multas y por dónde empezar.
Hay una frase que ya circula en los departamentos de cumplimiento de media Europa: «esperar a que se publique la ley no te protege de la ley». Suena contradictorio, pero no lo es. Aunque España todavía no ha terminado de transponer la Directiva NIS2 a su ordenamiento jurídico, las obligaciones de fondo llevan en vigor desde diciembre de 2022. Y en el caso de DORA, el reglamento financiero, no hace falta ni transposición: es de aplicación directa desde el 17 de enero de 2025.
Traducido a la práctica: si tu empresa opera en un sector crítico, o simplemente factura o presta servicios a alguien que sí lo hace, el reloj ya está corriendo, tengas o no la ley nacional publicada en el BOE.
💡 ¿Necesitas saber si tu empresa está obligada a cumplir NIS2 o DORA? Solicita un diagnóstico de cumplimiento
¿Qué es la Directiva NIS2 y a quién obliga?
En una frase: NIS2 es la Directiva (UE) 2022/2555, la norma europea que obliga a empresas medianas y grandes de 18 sectores críticos a implantar medidas de ciberseguridad y notificar los incidentes graves en plazos muy ajustados.
La Directiva (UE) 2022/2555, conocida como NIS2, sustituye a la antigua NIS de 2016 y amplía radicalmente el número de empresas obligadas. Ya no habla solo de energía o transporte: cubre 18 sectores repartidos en dos anexos: uno de «alta criticidad» (energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, espacio…) y otro de sectores igualmente importantes (fabricación, alimentación, gestión de residuos, servicios digitales, químicas…).
¿A quién afecta exactamente? La regla general es sencilla: empresas medianas o grandes (50 empleados o más, o más de 10 millones de euros de facturación o balance anual) que operen en alguno de esos 18 sectores. El Gobierno español calcula que esto deja dentro del ámbito directo a más de 5.700 empresas, y eso sin contar el efecto cadena: si tu cliente es una entidad esencial, es muy probable que te exija cumplir requisitos NIS2 aunque tu empresa no llegue al umbral por sí sola, simplemente porque formas parte de su cadena de suministro.
La norma distingue entre entidades esenciales (supervisión proactiva, con auditorías e inspecciones sin necesidad de que ocurra nada) y entidades importantes (supervisión reactiva, que actúa tras un incidente o una denuncia). La diferencia no está en lo que hay que hacer (las obligaciones de gestión de riesgo son las mismas para ambas, sino en cómo te vigilan y en el tope de la multa.
Y aquí las cifras son serias. El artículo 34 de la directiva fija sanciones de hasta 10 millones de euros o el 2% de la facturación mundial anual para entidades esenciales (la cantidad que sea mayor), y hasta 7 millones o el 1,4% para las importantes. A eso se suman consecuencias no económicas nada desdeñables: instrucciones vinculantes, publicidad del incumplimiento y, en casos de negligencia grave, la inhabilitación temporal de directivos.
En cuanto al contenido concreto, NIS2 obliga, entre otras cosas, a:
- Implementar políticas de análisis y gestión de riesgos, con revisión periódica.
- Tener un plan de respuesta y continuidad ante incidentes, probado y no solo escrito.
- Auditar y controlar la cadena de suministro, incluidos proveedores tecnológicos.
- Notificar los incidentes graves en plazos muy ajustados: una alerta temprana en 24 horas, una notificación más completa en 72 horas, y un informe final en el plazo de un mes.
- Formar a la dirección, que responde personalmente del cumplimiento y ya no puede delegarlo sin más al departamento de IT.
¿Cuándo entra en vigor la ley española de NIS2?
Aquí conviene ser preciso, porque circula bastante confusión. El plazo europeo para transponer NIS2 venció el 17 de octubre de 2024, y España no llegó a tiempo. La Comisión Europea abrió un procedimiento de infracción en noviembre de ese mismo año y, en mayo de 2025, remitió un dictamen motivado. El vehículo legislativo elegido por el Gobierno (el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crea un nuevo Centro Nacional de Ciberseguridad) fue aprobado por el Consejo de Ministros en enero de 2025, pero a lo largo de 2026 ha seguido su trámite parlamentario sin cerrarse, lo que ha llevado a la Comisión a escalar el expediente e incluir a España entre los países remitidos al Tribunal de Justicia de la UE.
¿Qué significa esto para tu empresa? Que el retraso es un problema entre España y Bruselas, no una excusa para esperar. Las obligaciones materiales de la directiva son exigibles desde 2023 y los supervisores sectoriales (INCIBE, CCN, y los que designe cada ministerio) ya están activos. Cuando la ley se publique previsiblemente no habrá un periodo transitorio largo, así que quien empiece a prepararse el día del BOE llegará tarde.
Texto oficial: Directiva (UE) 2022/2555 en EUR-Lex
¿Qué es el Reglamento DORA y quién debe cumplirlo?
En una frase: DORA es el Reglamento (UE) 2022/2554, de aplicación directa desde enero de 2025, que exige a entidades financieras y a sus proveedores tecnológicos garantizar la resiliencia operativa digital.
Si NIS2 es horizontal, el Reglamento (UE) 2022/2554, conocido como DORA (Digital Operational Resilience Act), es vertical y muy específico: nace para garantizar que bancos, aseguradoras, gestoras de fondos, fintechs y empresas de criptoactivos (hasta 21 categorías de entidades financieras) puedan resistir, responder y recuperarse ante cualquier disrupción tecnológica. Y, muy importante, alcanza también a sus proveedores tecnológicos, incluidos los considerados críticos (los llamados CTPP, por sus siglas en inglés), sin exclusión por tamaño: si prestas servicios TIC a una entidad financiera, DORA te afecta, seas grande o pequeño.
A diferencia de NIS2, DORA es un reglamento y no una directiva, lo que significa que se aplica directamente en todos los países de la UE sin necesidad de transposición nacional. Entró en vigor el 17 de enero de 2025 y desde entonces no hay periodo de gracia: los supervisores nacionales (Banco de España, CNMV y la Dirección General de Seguros y Fondos de Pensiones) ya están realizando inspecciones activas.
DORA se estructura en cinco pilares:
- Gestión de riesgos TIC, con gobernanza clara y responsabilidad directa del órgano de administración.
- Gestión y notificación de incidentes, de forma armonizada en toda la UE.
- Pruebas de resiliencia operativa digital, incluidas las TLPT (Threat-Led Penetration Testing), pruebas de penetración basadas en amenazas reales para las entidades más significativas.
- Gestión del riesgo de terceros, con la obligación de mantener un Registro de Información actualizado de todos los contratos TIC, clasificados por nivel de criticidad.
- Intercambio de información sobre amenazas entre entidades del sector.
El régimen sancionador se apoya en la normativa sectorial de cada país, pero el reglamento europeo ya marca un techo relevante: hasta el 1% de la facturación media diaria mundial en forma de multas coercitivas para los proveedores tecnológicos críticos, y sanciones que, según cómo se articule en cada legislación sectorial, pueden llegar a converger con los topes ya conocidos de otras normas financieras. Más allá de la multa económica, las consecuencias incluyen el cese de actividad, la prohibición temporal de ejercer funciones directivas o, en los casos más graves, el nombramiento de un administrador provisional.
Texto oficial: Reglamento (UE) 2022/2554 en EUR-Lex
NIS2 vs. DORA: diferencias de un vistazo
| Categoría | NIS2 | DORA |
|---|---|---|
| Tipo de norma | Directiva (requiere transposición) | Reglamento (aplicación directa) |
| Sector | 18 sectores críticos | Sector financiero + proveedores TIC |
| En vigor desde | 2023 (transposición española pendiente) | 17 de enero de 2025 |
| Multa máxima | 10M€ o 2% de la facturación mundial | Hasta 1% de la facturación diaria (CTPP); régimen sectorial para entidades financieras |
| Autoridad en España | CCN, INCIBE, futuro Centro Nacional de Ciberseguridad | Banco de España, CNMV, DGSFP |
Cuando NIS2 y DORA se cruzan
Si tu empresa es, por ejemplo, una fintech o un proveedor tecnológico del sector financiero, es habitual entrar en el radar de las dos normas a la vez. Aquí rige el principio de lex specialis: cuando ambas aplican, DORA prevalece por ser la norma específica del sector financiero. Pero en la práctica conviene gestionar los dos marcos de forma coordinada, porque comparten filosofía, aunque DORA añade capas propias como el Registro de Información o las pruebas TLPT que NIS2 no exige.
Guía práctica: por dónde empezar a cumplir NIS2 y DORA
Más allá de la teoría normativa, cumplir NIS2 y DORA es, sobre todo, un ejercicio de orden interno. Estos son los pasos que marcan la diferencia entre una empresa preparada y una que descubre sus lagunas cuando ya es tarde:
1. Diagnóstico exhaustivo de activos digitales. Antes de nada, hay que saber qué se tiene: sistemas, datos, accesos y quién los controla. Sin este mapa, cualquier plan de cumplimiento se construye sobre arena.
2. Análisis de riesgos en toda la cadena de valor, incluidos los proveedores tecnológicos externos. La cadena de suministro es, precisamente, uno de los puntos que ambas normas refuerzan con más insistencia.
3. Documentación real, no de escaparate. Políticas, procedimientos, planes de continuidad y un historial que demuestre que la seguridad es una práctica consolidada, no un documento redactado la semana antes de la inspección.
4. Plan de respuesta a incidentes con plazos interiorizados. Detectar, analizar y notificar en horas (no en días) exige simulacros previos, no solo un protocolo en un cajón.
5. Formación continua del equipo. La tecnología puede blindarse; las personas, no tanto. Reconocer un intento de phishing o entender por qué no se deben reutilizar contraseñas sigue siendo, a día de hoy, una de las defensas más eficaces y más baratas.
6. Apoyo externo si hace falta. Si el equipo interno no tiene la experiencia necesaria, subcontratar a especialistas no es un lujo, es una cuestión de supervivencia regulatoria.
Preguntas frecuentes
¿Qué empresas están obligadas a cumplir NIS2 en España?
Empresas medianas o grandes (50+ empleados o más de 10M€ de facturación/balance) que operen en alguno de los 18 sectores de los Anexos I y II de la directiva, y también empresas más pequeñas que formen parte de la cadena de suministro de una entidad esencial.
¿Cuándo entra en vigor la ley española de NIS2?
El plazo europeo venció el 17 de octubre de 2024 y España no lo cumplió. El anteproyecto de ley sigue en tramitación parlamentaria en 2026, pero las obligaciones de fondo de la directiva ya son exigibles desde 2023.
¿Qué diferencia hay entre NIS2 y DORA?
NIS2 es una directiva horizontal para 18 sectores críticos que necesita transposición nacional. DORA es un reglamento vertical, específico del sector financiero, de aplicación directa desde enero de 2025 sin necesidad de ley nacional.
¿Qué pasa si mi empresa no cumple DORA?
Los supervisores nacionales (Banco de España, CNMV, DGSFP) pueden imponer sanciones económicas, exigir el cese de determinadas actividades, prohibir temporalmente a directivos ejercer sus funciones y, en casos graves, nombrar un administrador provisional. Para proveedores tecnológicos críticos, las multas coercitivas pueden llegar al 1% de la facturación diaria mundial.
La conclusión que importa
Ni NIS2 ni DORA son un proyecto puntual que se cierra con un informe. Son un cambio de paradigma empresarial que exige tiempo, presupuesto y, sobre todo, un compromiso visible desde la dirección, porque ambas normas, cada una a su manera, hacen responsables a los directivos de forma personal. La inversión en ciberseguridad y resiliencia digital que se haga hoy es, literalmente, lo que en 2026 y años sucesivos puede marcar la diferencia entre una sanción asumible y el colapso operativo de la empresa tras un ciberataque.
📩 ¿Quieres saber si tu empresa está obligada a cumplir NIS2 o DORA? Contacta con nosotros
Fuentes: Directiva (UE) 2022/2555 (NIS2); Reglamento (UE) 2022/2554 (DORA); Comisión Europea (procedimientos de infracción y dictámenes motivados 2025-2026); Departamento de Seguridad Nacional; Red Seguridad.